时间戳

首页 > 解决方案 > 如何使用动作过滤器更改输入参数

c# - 如何使用动作过滤器更改输入参数

问题描述

的背景：

我正在尝试修复一个潜在的安全问题，以删除作为字符串参数注入到我的 WebAPI 方法中的单引号（这需要在整个应用程序中完成）。

我试图通过创建一个执行必要操作的操作过滤器来实现这一点

public class ValidateActionParametersAttribute : ActionFilterAttribute, IActionFilter
    {
        public override void OnActionExecuting(HttpActionContext actionExecutedContext)
        {          
            var parameters = actionExecutedContext.ActionArguments;
            var parameterList = parameters.Values.ToList();
            parameterList.Where(x => x.GetType() == typeof(string)).ToList().ForEach(y => y = y.ToString().Replace("\'", ""));            
            base.OnActionExecuting(actionExecutedContext);
        }
    }

并在我的 WebApiConfig 中全局注册

config.Filters.Add(new ValidateActionParametersAttribute());

但是当我在代码中放置断点后检查时，在 ActionFilter 中所做的参数更改似乎没有反映出来。有人可以指导我做错了什么吗？

标签： c#linqasp.net-web-apiaction-filter

解决方案

您没有更新参数字典中的值，而只是替换了传递给 ForEach 的 lambda 函数的 y 参数。

由于 ActionArguments 是一本字典，您可以执行以下操作：

var stringArgs = context.ActionArguments.Where(pair => pair.Value is string).ToList();

foreach (var keyValue in stringArgs)
{
    var safeValue = ((string)keyValue.Value).Replace("\'", "");
    context.ActionArguments[keyValue.Key] = safeValue;
}

这将获取所有字符串参数并将其替换为安全版本。

推荐阅读